Important
이 게시물의 일부 정보는 상용으로 출시되기 전에 실질적으로 수정될 수 있는 사전 릴리스된 제품과 관련이 있습니다. Microsoft는 여기에서 제공되는 정보와 관련하여 명시적이거나 묵시적인 어떠한 보증도 하지 않습니다. Project 인식은 현재 제한된 공개 미리 보기로 제공됩니다. 제한된 공개 미리 보기 프로그램은 광범위한 공개 가용성 전에 정의된 미리 보기 창에 대한 초대 전용 소규모 고객이 Perception을 사용할 수 있다는 것을 의미합니다.
Project Perception은 세션, 에이전트 및 플레이북과 같은 개념을 사용하여 에이전트 작업을 구성합니다. 이러한 개념을 이해하면 에이전트 작업을 효과적으로 구성, 위임 및 감독할 수 있습니다.
세션
세션은 에이전트 상호 작용의 레코드입니다. 세션은 에이전트 활동, 의사 결정, 입력, 출력 및 승인 또는 사용자 개입을 캡처합니다. 세션에는 단일 에이전트 또는 여러 에이전트가 함께 작동할 수 있습니다. 각 세션에는 해당 세션 내의 모든 작업의 집계 상태를 반영하는 상태가 있습니다.
세션에 대한 자세한 내용은 세션 보기 및 관리를 참조하세요.
에이전트
에이전트는 추론, 도구 사용 및 작업을 수행할 수 있는 자율 또는 반자율 소프트웨어 엔터티입니다. Project Perception 에이전트는 깊고 자율적인 보안 작업을 위해 설계된 Microsoft 게시된 에이전트입니다. 검색 작성, 노출 분석, 자세 우선 순위 지정, 경고 심사 및 인시던트 조사를 통해 위협 인텔리전스의 전체 보안 작업 수명 주기를 포괄하는 Microsoft 다중 에이전트 SOC 시스템의 핵심을 형성합니다.
인식 에이전트는 공동 작업하도록 설계되었습니다. 한 에이전트의 출력이 다른 에이전트에 대한 입력이 되어 엔드 투 엔드 워크플로를 사용하도록 설정합니다. 예를 들어 위협 인텔리전스 에이전트에서 추출한 위협 인텔리전스는 검색 작성 에이전트에서 만든 검색에 직접 피드됩니다.
인식 에이전트를 사용하려면 에이전트 ID 및 역할 할당이 필요합니다. 설치 지침은 에이전트 작업을 참조하세요.
인식 에이전트는 다음과 같습니다.
| 대리인 | 에이전트 팀 | 설명 |
|---|---|---|
| Recon Agent | 레드 팀 | 공격자 정찰 활동을 수행하여 환경을 매핑합니다. 이 에이전트를 사용하여 공격 경로, 초크 포인트, 중요한 자산, 구성 문제 및 초과 권한을 표시합니다. |
| 심사 에이전트 | 파란색 팀 | 다양한 유형의 경고를 true 또는 false 긍정으로 분류하고 해결합니다. 이 에이전트는 정확도를 향상시키기 위해 컨텍스트 및 사용자 피드백에서 학습하는 결론 뒤에 자세한 설명을 제공합니다. |
| 위협 인텔리전스 에이전트 | 파란색 팀 | 공격 패턴, 지표 및 기타 주요 TI 개체를 추출하고 위협을 방어하거나 대응하는 방법에 대한 인사이트를 분석합니다. |
| 공격 조사 에이전트 | 파란색 팀 | 경고, 인시던트 및 기타 보안 신호에서 전체 공격 스토리를 재구성합니다. 이 에이전트는 평결, 타임라인, 공격 기술, 손상 지표 및 영향을 받는 엔터티를 포함하여 분석가가 사용할 수 있는 인사이트를 제공합니다. |
| 검색 작성 에이전트 | 파란색 팀 | 위협 범위의 간격을 식별하고 위협이 진화함에 따라 방어를 강화하는 탐지 규칙을 만듭니다. |
| 자세 우선 순위 지정 에이전트 | 녹색 팀 | 실제 위험, 노출, 악용 가능성 및 자산 중요도에 따라 자세 문제를 광범위하게 또는 특정 위협의 맥락에서 순위를 지정합니다. 이 에이전트는 먼저 해결해야 할 사항과 그 이유에 대한 명확하고 집중적인 지침을 제공합니다. |
플레이북
플레이북은 특정 보안 목표를 위해 다시 사용할 수 있는 에이전트 기반 작업 집합입니다. 실행할 때 에이전트는 사용자를 대신하여 플레이북의 단계를 실행하고, 신호를 조사하고, 데이터의 상관 관계를 지정하고, 각 단계에서 수동 개입 없이 출력을 생성합니다.
플레이북의 주요 특징:
- Microsoft 미리 설정합니다. 플레이북 목록은 읽기 전용입니다. 이 릴리스에서는 사용자 지정 플레이북을 만들 수 없습니다.
- 여러 에이전트를 사용할 수 있습니다. 단일 플레이북에는 여러 에이전트가 포함될 수 있으며, 단일 에이전트는 여러 플레이북에서 사용할 수 있습니다.
- 입력을 실행해야 할 수 있습니다. 플레이북에 따라 필요한 특정 입력을 제공할 때까지 세션이 시작되지 않을 수 있습니다. 예를 들어 공격 조사 플레이북을 실행하려면 인시던트 ID가 필요합니다.
- 모든 에이전트를 사용하도록 설정해야 합니다. 플레이북은 모든 필수 에이전트가 설정되고 사용하도록 설정된 경우에만 활성화됩니다.
Perception에는 다음 플레이북이 포함됩니다. 일부 플레이북은 포커스가 있는 작업에 대해 단일 에이전트를 실행합니다. 다른 에이전트는 여러 에이전트를 순서대로 조정합니다. 여기서 각 에이전트의 출력은 다음을 공급합니다.
| 플레이북 | 설명 | 참여 에이전트 |
|---|---|---|
| 심사 경고 | 실제 위협이 더 주의를 끌 수 있도록 가양성 경고의 유효성을 검사합니다. | 심사 에이전트 |
| 위협으로부터 보호 | 위협 인텔리전스 원본을 사용하고 공격 경로 분석, 자세 결과, 우선 순위가 지정된 수정 및 새 검색 규칙을 생성하는 다중 에이전트 워크플로입니다. | 위협 인텔리전스 에이전트, 정찰 에이전트, 자세 우선 순위 지정 에이전트, 검색 작성 에이전트 |
| 공격 조사 | Defender 인시던트에 대한 자율 계층 2 조사를 수행하고 평결, 타임라인 및 수정 작업을 사용하여 완전한 공격 스토리를 생성합니다. | 공격 조사 에이전트 |
| 위협 인텔리전스 추출 | 위협 인텔리전스 문서를 분석하고 TTP, IOC, CVE 및 KQL 헌팅 쿼리를 비롯한 구조적 인텔리전스 개체를 생성합니다. | 위협 인텔리전스 에이전트 |
| 공격 경로 식별 | 초크 포인트 분석 및 수정 권장 사항을 사용하여 공격자가 Azure 환경을 통해 이동하고 중요한 자산에 도달하는 방법을 매핑합니다. | Recon Agent |
| 자세 수정 계획 | 클라우드, 디바이스 및 AI에서 우선 순위가 지정된 수정 계획을 빌드합니다. 이 플레이북은 노출, 악용 가능성 및 자산 컨텍스트의 무게를 측정하여 가장 높은 위험 상태 격차를 대상으로 합니다. | 자세 우선 순위 지정 에이전트 |
| ID 위험 평가 | ID 중심 공격 경로 분석 및 수정 지침을 사용하여 Azure 환경에서 ID 노출 및 횡적 이동 위험을 평가합니다. | Recon Agent |
개념의 관계
다음 표에서는 개념이 함께 작동하는 방법을 보여 줍니다.
| Concept | 만들거나 사용 | 예시 |
|---|---|---|
| 세션 | 에이전트 작업을 포함합니다. 플레이북으로 만들 수 있습니다. | 피싱 인시던트를 조사하는 세션에는 세 명의 에이전트가 순서대로 작업합니다. |
| 에이전트 | 세션에 참여 | 위협 인텔리전스 에이전트가 세션에 참여하여 손상 지표를 조사합니다. |
| Playbooks | 세션을 만듭니다. 에이전트 할당 | 심각도가 높은 인시던트에 대한 플레이북은 심사, 조사 및 대응 에이전트가 있는 세션을 만듭니다. |